Lembaga Riset Keamanan Siber Indonesia (CISSReC) menemukan 71 situs pemerintah berakhiran .go.id berada dalam kondisi rentan terhadap ancaman keamanan siber PHP2Shell. Temuan itu disampaikan dalam laporan yang diterima Katadata.co.id pada Jumat, 23 Oktober 2026, dan langsung memantik respons Kementerian Komunikasi dan Digital (Komdigi) serta Badan Siber dan Sandi Negara (BSSN).

Angka tersebut bukan hasil hitungan acak. Pada 22 Oktober, CISSReC memeriksa 597 domain pemerintah. Sebanyak 529 domain merespons pemeriksaan, sementara 68 domain lainnya tidak merespons sama sekali. Dari 529 situs yang menjawab, 11 situs memakai versi PHP yang belum diperbaiki, 41 situs berjalan di atas versi PHP yang sudah berstatus end-of-life alias tak lagi menerima pembaruan keamanan, dan 19 situs menyembunyikan versi PHP-nya sehingga tidak bisa diverifikasi dari luar.

Bagi warga Tangerang Raya, persoalan ini bukan urusan teknis yang jauh dari keseharian. Situs pemerintah adalah tempat orang mengurus dokumen kependudukan, mengecek izin usaha, membaca pengumuman resmi, hingga memantau jadwal layanan publik. Ketika pondasi situsnya rapuh, yang dipertaruhkan bukan sekadar tampilan halaman, melainkan data pribadi warga yang tersimpan di belakangnya.

Sebelas situs belum ditambal, 41 sudah kedaluwarsa

Pembagian 71 situs itu penting dibaca satu per satu. Kelompok pertama, 11 domain, memakai versi PHP yang sebenarnya masih didukung tetapi belum dipasangi tambalan terbaru. Ini kelompok yang paling mudah diperbaiki: cukup memperbarui versi PHP, masalah selesai.

Kelompok kedua lebih merepotkan. Sebanyak 41 situs masih berjalan pada rentang PHP 5.4 hingga 8.1. Semua versi itu sudah melewati masa dukungan, artinya tidak ada lagi pembaruan keamanan resmi yang bisa dipasang. Selama situs tetap di versi tersebut, celah apa pun yang ditemukan — termasuk PHP2Shell — akan terus terbuka.

Tiga contoh yang tampil di tabel publikasi Katadata memperlihatkan pola ini. Situs bandungbaratkab.go.id tercatat memakai PHP 8.2.19, bawaslu.go.id memakai PHP 8.3.33, dan bengkuluutarakab.go.id memakai PHP 8.2.28. Ketiganya diberi status “Rentan (Belum Patch)” karena berada di bawah versi yang sudah diperbaiki.

Sembilan belas situs yang memilih menyembunyikan versi

Yang paling membuat CISSReC khawatir justru kelompok ketiga. Sebanyak 19 situs menyembunyikan informasi versi PHP mereka. Menyembunyikan versi sebenarnya praktik lazim dalam keamanan informasi: semakin sedikit informasi yang dibocorkan ke publik, semakin kecil peluang penyerang memetakan sasaran.

Namun dalam konteks PHP2Shell, penyembunyian itu menjadi pisau bermata dua. Pemilik situs tidak bisa membuktikan dirinya aman tanpa memeriksa server secara langsung. CISSReC menyebut kelompok ini mencakup beberapa situs kementerian dengan lalu lintas tinggi, di antaranya situs Kementerian Energi dan Sumber Daya Mineral (esdm.go.id), Kementerian Perindustrian (kemenperin.go.id), Kementerian Kesehatan (kemkes.go.id), dan Sekretariat Negara (setneg.go.id).

Menurut laporan tersebut, sebagian besar situs kementerian, pemerintah daerah, pengadilan negeri, kejaksaan negeri, dan komisi pemilihan dibangun dengan WordPress, Joomla, atau kerangka kerja berbasis PHP seperti CodeIgniter dan Laravel. Artinya, mayoritas layanan publik digital di Indonesia berdiri di atas pondasi yang sama.

Mengapa situs pemerintah lebih rapuh

CISSReC menyoroti dua sebab struktural. Pertama, situs pemerintahan umumnya dikelola oleh staf teknologi informasi dalam jumlah terbatas, sering kali satu atau dua orang yang merangkap banyak pekerjaan. Kedua, banyak instansi memakai jasa penyedia hosting yang tidak memberi kendali penuh atas versi PHP yang dipakai. Pengelola situs bisa saja ingin memperbarui, tetapi keputusan teknisnya berada di tangan pihak lain.

Kombinasi dua hal itu menjelaskan mengapa peringatan keamanan global bisa berhenti di tingkat pengumuman. Instansi tahu ada ancaman, tetapi tidak selalu punya kewenangan dan tenaga untuk menambal dengan cepat.

Celah yang tersembunyi lebih dari satu dekade

PHP2Shell adalah nama kode untuk dua kerentanan kritis pada inti bahasa pemrograman PHP, yakni CVE-2026-109618 dan CVE-2026-109619. Keduanya diumumkan The PHP Foundation pada 20 Oktober 2026. CVE pertama menyangkut mekanisme penanganan out-of-memory, sementara CVE kedua merupakan kerentanan use-after-free — kondisi ketika PHP mengakses memori yang sudah dibebaskan tetapi masih dirujuk proses internal.

Dampaknya sama: penyerang dapat menjalankan kode dari jarak jauh atau remote code execution (RCE) tanpa perlu autentikasi. Dengan kemampuan itu, peretas bisa mengambil alih server, mencuri data aplikasi, mengubah isi situs, hingga menanam backdoor untuk masuk kembali kapan saja.

Kerentanan ini ditemukan peneliti keamanan dari Wiz dan Calif dengan bantuan kecerdasan buatan. Keduanya memakai model AI untuk menelusuri basis kode PHP secara menyeluruh dan menemukan pola kelemahan yang menurut metode manual butuh waktu jauh lebih lama. Peneliti Calif, Ryan Austin, menyebutnya sebagai masalah keamanan paling serius yang pernah ia temukan. Kelemahan itu disebut sudah bersemayam di PHP selama lebih dari satu dekade tanpa terdeteksi.

Skalanya besar karena PHP menopang sekitar 70 persen situs web dunia, atau sekitar 760 juta situs. Setelah kerentanan diumumkan, Cloudflare mencatat lonjakan upaya eksploitasi yang ekstrem: ribuan percobaan dalam 10 jam sebelum pengumuman, puluhan ribu dalam 45 menit setelahnya, ratusan ribu dalam dua jam, lalu bereskalasi menjadi jutaan.

Langkah Komdigi dan BSSN

Komdigi melalui situs resminya mengimbau seluruh pengelola sistem berbasis PHP segera memperbarui perangkat lunak. Sementara BSSN menggelar Apel Kesiapsiagaan Tim Tanggap Insiden Siber (TTIS) pada Kamis, 22 Oktober, yang diikuti 289 peserta dari sektor administrasi pemerintahan, kesehatan, dan ekonomi.

“Hal ini merupakan tindaklanjut BSSN terhadap kerentanan global pada PHP2Shell yang dapat menyebabkan penyerang jarak jauh dapat melakukan Remote Code Execution (RCE) pada server yang terdampak,” kata BSSN melalui akun Instagram resminya, dikutip Jumat (23/10).

Dalam apel itu, BSSN meminta seluruh tim tanggap insiden melakukan inventarisasi aset, memverifikasi versi PHP pada semua layanan, memperbarui ke versi yang sudah ditambal, membatasi akses sementara pada layanan kritis bila perlu, serta memeriksa log untuk mendeteksi indikasi percobaan eksploitasi.

The PHP Foundation merilis perbaikan pada 21 Oktober. Versi yang wajib dipakai adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Rentang terdampak mencakup PHP 8.2.0–8.2.34, PHP 8.3.0–8.3.35, PHP 8.4.0–8.4.26, dan PHP 8.5.0–8.5.11. BSSN mengingatkan pembaruan harus diterapkan pada seluruh runtime yang dipakai — PHP-FPM, Apache mod_php, dan php-cgi — lalu layanan di-restart agar tambalan benar-benar aktif. Memperbarui WordPress atau plugin saja tidak cukup, karena celahnya berada di inti PHP.

Apa artinya bagi warga Tangerang Raya

Bagi pengguna layanan publik digital, kerentanan ini berada di sisi belakang situs, bukan di perangkat warga. Karena itu tidak ada tombol darurat yang bisa ditekan warga untuk menutupnya. Yang bisa dilakukan adalah bersikap waspada pada hal-hal yang menyentuh akun dan data pribadi.

Pertama, jangan pernah menyerahkan data kependudukan, nomor induk, atau kode OTP lewat tautan yang dikirim melalui pesan singkat dan mengaku berasal dari instansi pemerintah. Serangan besar seperti PHP2Shell hampir selalu diikuti gelombang phishing yang menumpang ketenaran isu.

Kedua, apabila sebuah layanan mengirim pemberitahuan resmi soal penggantian kata sandi, lakukan hanya melalui alamat situs yang diketik sendiri di peramban, bukan lewat tautan dalam pesan. Ketiga, pantau pengumuman resmi kanal pemerintah daerah. Hingga berita ini diturunkan, Katadata.co.id masih menunggu tanggapan Komdigi dan BSSN atas data 71 situs tersebut.

Untuk pengelola situs — termasuk pengelola portal desa, sekolah, koperasi, dan usaha kecil di Cikayasa, Adiyasa, maupun kawasan sekitar — pelajarannya lebih langsung. Periksa versi PHP lewat penyedia hosting, minta tambalan dipasang, dan pastikan layanan dijalankan ulang setelah pembaruan. Jika tambalan belum bisa dipasang, BSSN menyarankan membatasi akses jaringan ke server, mengisolasi layanan yang terhubung internet, atau menempatkannya di zona jaringan terpisah sampai perbaikan selesai.

Badan Keamanan Nasional Amerika Serikat (NSA), Pusat Keamanan Siber Nasional Inggris, dan pemerintah Jepang mengambil sikap lebih keras: bila tambalan tidak bisa segera dipasang, layanan yang rentan sebaiknya dinonaktifkan sementara. Pilihan itu terasa mahal bagi instansi yang layanannya dipakai warga setiap hari. Namun membandingkan dua risikonya, situs yang mati beberapa jam jauh lebih murah daripada data warga yang berpindah tangan tanpa pernah diketahui pemiliknya.

Sumber: Katadata.co.id — 71 Situs Pemerintah Indonesia Disebut Rentan PHP2SHELL, Ini Daftarnya | Celah PHP Picu Jutaan Upaya Eksploitasi Hacker | BSSN Ungkap Cara Mitigasi